Nova Tor-cirkvito kontraŭ ŝanĝo de VPN-servilo: kio efektive ŝanĝiĝas
Cirkvita ŝanĝo movas la Tor-vojon; servila ŝanĝo movas la tunelan finpunkton. Kiu el ili ŝanĝas la adreson, kiun retejo vidas, dependas de la ordo.
Ŝanĝi Tor-cirkviton kaj ŝanĝi VPN-servilon ambaŭ sentiĝas kiel akiri novan vojon, sed ili rompiĝas en malsamaj lokoj, kiam oni traktas ilin kiel la saman butonon. Unu petas al la Tor-kliento konstrui alian vojon por retejo; la alia petas al la VPN-kliento konekti al alia finpunkto. Neniu estas restarigo, kaj la adreso, kiun retejo finfine vidas, dependas de tio, kiu el la du estas pli proksima al la celo. Jen kiel mi decidas, kiun kontrolon uzi, kaj kion mi poste kontrolas.
Du operacioj en du malsamaj tavoloj
Tor estas supertavolo. Via kliento elektas gvardan relajson, mezan relajson kaj eliran relajson, poste portas TCP-fluojn tra tiu cirkvito; la celo vidas la eliron kaj nenion alian. Cirkvita ŝanĝo estas decido ene de Tor pri tio, kiuj relajsoj portas fluon.
VPN estas tunelo sube. La kliento elektas finpunkton, envolvas trafikon en eksteran tavolon, kaj ĉio sekva vidas la adreson de la finpunkto. Servila ŝanĝo estas decido pri tio, kie finiĝas la ekstera vojo.
Ĉar la tavoloj estas sendependaj, unu operacio povas esti nevidebla ĉe la malproksima fino de la konekto. Tiu nesimetrio klarigas la plejparton de la konfuzo ĉirkaŭ ĉi tiuj du kontroloj.
Kion faras «Nova Tor-cirkvito por ĉi tiu retejo»
«Nova Tor-cirkvito por ĉi tiu retejo», en la reteja informpanelo, fermas la fluojn, kiujn Tor portas por tiu retejo, kaj konstruas novan cirkviton por la sekva peto. Langetoj, kuketoj, ensalutoj kaj la resto de la sesio restas ĝuste tie, kie ili estis, kaj tio estas la punto: vi konservas la sesion kaj ŝanĝas la vojon.
Tio faras ĝin la ĝusta ilo por mallarĝa fiasko: elira relajso, kiun la celo blokas, captcha-buklo, kiu sekvas la eliron, aŭ unu retejo haltanta dum ĉiuj aliaj estas bonaj. La cirkvita montraĵo en la sama panelo listigas la tri relajsojn, do vi povas konfirmi, ke la eliro vere ŝanĝiĝis, anstataŭ supozi tion.
Atentu la gvardon. Tor tenas malgrandan aron de enirgvardoj, kaj cirkvita ŝanĝo kutime reuzas la saman gvardon, do la unua salto en la reto ne moviĝas. «Nova identeco» estas la pli granda restarigo: ĝi fermas langetojn kaj viŝas retuman staton antaŭ ol konstrui novan cirkviton, kaj la identecaj kontroloj estas dokumentitaj aparte pro kialo: ĝi estas alia operacio kun alia kosto.
Kion faras ŝanĝo de VPN-servilo
La kliento malkonstruas la tunelon kaj konektas al alia finpunkto. La sekva salto ekster la tunelo, ĉu Tor-gvardo aŭ la celo mem, vidas alian fontadreson. Konektoj ene de la tunelo rompiĝas kaj devas esti restarigitaj, do paĝoj povas pendi ĝis ili tempolimas anstataŭ reŝargiĝi pure.
Nenio super la tunelo estas reskribita, sed la malkonstruo ne estas nevidebla. En VPN-unua agordo la eliron ankoraŭ elektas Tor, sed faligo de la tunelo mortigas la TCP-konektojn, kiujn Tor tenas al sia gvardo, do Tor malkonstruas tiujn cirkvitojn kaj konstruas novajn, denove elektante eliron. La retejo povas do vidi alian eliran adreson post ŝanĝo, kvankam la ŝanĝo mem neniam elektis unu. Kion la ŝanĝo decidas, estas la adreso, kiun la gvardo vidas; la rekonstruita cirkvito estas tio, kio denove elektas la eliron. Se vi ŝanĝis servilojn nur por ŝanĝi tion, kion retejo vidas dum Tor staras antaŭe, vi movis tavolon, kiun la retejo neniam rekte observas, kaj ĉiu ŝanĝo, kiun la retejo rimarkas, venis de la rekonstruo, ne de la ŝanĝo.
Ŝanĝo ankaŭ efikas nur al la vojo, kiun la kliento posedas. Retumilo reuzanta malfermitan konekton povas ŝajni blokita sur la malnova vojo ĝis ĝi rekonektos, kaj kaŝmemorita DNS-respondo estas la alia kutima kaŭzo. Reŝargu unue, poste juĝu.
La ordo decidas, kion la celo vidas
La du ordoj respondas malsamajn demandojn. Kun la VPN antaŭ Tor, la gvardo kaj la relajsoj vidas la VPN-finpunkton, dum la celo vidas la Tor-eliron. Kun Tor antaŭ la VPN, la celo vidas la VPN-finpunkton, ĉar la tunelo estas la lasta afero, tra kiu la trafiko pasas.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
Do IP-serĉo raportas tion, kion la celo vidis, ne la vojon, kiu portis ĝin. Servo montranta la eliron en unu agordo kaj la VPN en la alia kondutas ĝuste, ne likas.
Kion faras nek unu nek la alia
Nek unu forigas la identecon de konto. Ensalutinta sesio estas kuketo plus servila rikordo, kaj voja ŝanĝo tuŝas nek unu. Stabila retumila profilo, la sama ensaluto kaj la sama fingrospuro postvivas ambaŭ agojn.
Nek unu estas pruvo. Retejo raportas adreson, kiun ĝi observis dum peto; ĝi ne povas raporti vian relajsan vojon aŭ ĉu via VPN falis antaŭ dek minutoj. Se vi bezonas tiun tempan linion, skribu ĝin tuj, ĉar ĝi ne povas esti rekonstruita de la malproksima fino poste.
Aguordigu la kontrolon al la simptomo
Komencu de tio, kio malsukcesis, ne de tio, kiu butono aspektas pli detala:
- Unu retejo blokas vin, captcha-oj turniĝas, aŭ unu retejo estas malrapida: nova cirkvito por tiu retejo.
- VPN-nura agordo bezonas alian videblan adreson: ŝanĝu la servilon.
- Vi atendis eliron sed la retejo raportas vian VPN: kontrolu la ordon, Tor estas malantaŭ la tunelo.
- Langetoj fermiĝis kaj ĉio restariĝis: vi uzis «Novan identecon», ne cirkvitan ŝanĝon.
- La eliro aspektas neŝanĝita post cirkvita ŝanĝo: relajsoj povas laŭleĝe ripetiĝi, kaj la gvardo tute ne moviĝos.
Skribu la agon kaj la simptomon, kiun ĝi devis ripari, antaŭ ol ŝanĝi ion alian. Du sinsekvaj ŝanĝoj produktas komparon, kiun oni ne povas interpreti, kaj ripeti ambaŭ, kiam nur unu tavolo miskondutas, estas kiel kvin-minuta kontrolo iĝas tuta posttagmezo.